Pridobivanje osebnih podatkov zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.04.2008 Številka: 0712-128/2008/2 Kategorije:Delovna razmerja, Pogodbena obdelava OP --> Kategorije: Delovna razmerja, Pogodbena obdelava OP Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem navajate, da delodajalec, ki je javni zavod, zahteva od zaposlenih, da mu posredujete uporabniška imena in gesla za dostop do službenih računalnikov. Računalniki, ki jih uporablja vaša delovna skupina, so v lasti Ministrstva ... (v nadaljevanju: ...). Za ... izvajate strokovne naloge, za namen katerih ste poleg računalniške opreme prejeli tudi dostope do omrežja HKOM, vladne e-naslove in dostope do določenih baz podatkov. Vaš Zavod ima za namene vzdrževanja računalniške opreme najeto računalniško/komunikacijsko podjetje, ki je tudi ustvarilo dostopna uporabniška imena in gesla z namenom administriranja. S temi uporabniškimi imeni in gesli so potencialno omogočeni nadaljnji dostopi do e-pošte, arhivov in podatkovnih baz delovne skupine (laboratorij za varstvo rastlin,...), spletnih aplikacij ter baz podatkov ....
- Zanima vas, na kakšni pravni osnovi lahko Zavod od zaposlenih zahteva, da mu posredujejo uporabniška imena in gesla, ki jih že ima s strani vašega Zavoda najeto računalniško podjetje in ali obstaja kakšna razlika, če zaposleni uporabljajo računalniško opremo delodajalca oz. nekoga drugega. Če obstajajo utemeljeni razlogi, zaradi katerih naj ne bi delodajalcu posredovali uporabniških imen in gesel, nas prosite za njihovo razlago.
- Postavlja se vam še vprašanje, kakšne zahteve mora izpolnjevati računalniško podjetje, najeto za administriranje podatkov na strežniku Zavoda in urejanje ostalih komunikacijskih povezav. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:
- Vaš Zavod lahko zahteva posredovanje uporabniških imen in gesel za vstop v osebne računalnike oziroma izvede nadzor, v okviru katerega lahko vpogleda v podatke o uporabi interneta in v prometne podatke elektronske pošte pri tistih zaposlenih, pri katerih obstajajo v delodajalčevem notranjem aktu določeni razlogi za uvedbo takšnega nadzora. Delodajalec mora poleg tega v svojem notranjem aktu predhodno določiti tudi postopek in način izvajanja takega nadzora. Zaposleni, nad katerimi se izvaja omenjeni nadzor, morajo biti o omejitvah v zvezi z uporabo delovnih sredstev v zasebne namene in o nadzoru ustreznosti njihove uporabe predhodno obveščeni.
- Računalniško podjetje, ki ga je Zavod najel za administriranje podatkov na njegovem strežniku in urejanje ostalih komunikacijskih povezav je, če pri opravljanju teh nalog tudi obdeluje osebne podatke, katerih upravljavec je vaš Zavod, pogodbeni obdelovalec osebnih podatkov. Pogodbeno obdelavo osebnih podatkov in razmerja med upravljavcem in pogodbenim obdelovalcem osebnih podatkov ureja
- člen ZVOP-
- Obrazložitev: Informacijski pooblaščenec na začetku ugotavlja, da je vaše vprašanje zastavljeno zelo na splošno, saj niste navedli, zakaj delodajalec potrebuje uporabniško ime in geslo zaposlenih oziroma, do katerih podatkov in s kakšnim namenom bi delodajalec preko računalnikov zaposlenih želel dostopati s pomočjo njihovega uporabniškega imena in gesla, zato vam v nadaljevanju glede vprašanj, na katera je Informacijski pooblaščenec že odgovoril v do zdaj izdanih pravnih mnenjih, navajamo zgolj povezavo do naših spletnih strani, kjer so ta pravna mnenja objavljena.
- V zvezi z vašim vprašanjem, kakšne zahteve mora izpolnjevati računalniško podjetje, najeto za administriranje podatkov na strežniku vašega Zavoda in urejanje ostalih komunikacijskih povezav, Informacijski pooblaščenec pojasnjuje, da je tako podjetje, če obdeluje tudi osebne podatke, pogodbeni obdelovalec osebnih podatkov, saj te osebne podatke obdeluje v imenu in na račun vašega Zavoda, ki je upravljavec teh osebnih podatkov. Pogodbena obdelava osebnih podatkov je urejena v
- členu ZVOP-1, ki med drugim določa tudi, da mora upravljavec s pogodbenim obdelovalcem skleniti pisno pogodbo, v kateri uredita medsebojne pravice in obveznosti, pogodba pa mora vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, ki jih ureja
- člen ZVOP-
- Informacijski pooblaščenec je izdal že nekaj mnenj (0712-582/2007/2) v zvezi s pogodbeno obdelavo osebnih podatkov, pošiljamo pa vam povezavo do enega izmed teh mnenj, kjer najdete celovit odgovor na vaše vprašanje : http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/ Pošiljamo vam tudi povezavo do vzorca pogodbe za potrebe pogodbene obdelave po
- členu ZVOP-1 (zadnji obrazec): http://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ Kljub temu, da
- člen upravljavca (ob izpolnjevanju vseh v tem členu določenih pogojev) ne omejuje glede opravil v zvezi z obdelavo osebnih podatkov, ki jih ta lahko s pogodbo zaupa pogodbenemu obdelovalcu tj. ne določa vrste opravil, ki jih upravljavec ne bi smel zaupati pogodbenemu obdelovalcu, pa Informacijski pooblaščenec v vašem primeru priporoča upoštevanje načela sorazmernosti pri takem prenosu obdelave osebnih podatkov. Informacijski pooblaščenec zato priporoča, da ima pogodbeni obdelovalec pri administriranju podatkov na strežniku vašega Zavoda dostop do čim manjšega števila osebnih podatkov, katerih upravljavec je vaše podjetje oziroma, da pri opravljanju takšnega administriranja obdeluje čim manj osebnih podatkov. S tega stališča velja opozoriti tudi na neprimernost ureditve, ki ste jo opisali v svojem dopisu, v katerem navajate, da je ustvarjanje uporabniških imen in gesel, ki jih vaši zaposleni uporabljajo za vstop v službene računalnike, v celoti prepuščeno zunanjemu podjetju, torej pogodbenemu obdelovalcu osebnih podatkov. Informacijski pooblaščenec je namreč mnenja, da bi si moral geslo za dostop do službenega računalnika po navodilih osebe, ki je zadolžena za delovanje in varnost vašega informacijskega sistema, vsak zaposleni določiti sam, razen v izjemnih primerih, ko takšna ureditev ni mogoča ali priporočljiva, vendar bi moral delodajalec takšne primere natančno opredeliti in utemeljiti nujnost takšne ureditve.
- V zvezi z vašim vprašanjem, ali so zaposleni delodajalcu dolžni posredovati svoja uporabniška imena in gesla, s katerimi dostopajo do službenih računalnikov, pa Informacijski pooblaščenec poudarja občutljivost delodajalčevega nadzora vsebine trdega diska in elektronske pošte zaposlenega, saj se s takim vpogledom poseže tako v pravico do zasebnosti, ki je določena v
- členu Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97, 66/2000, 24/03, 69/04 in 68/06, v nadaljevanju Ustava RS), kakor tudi v pravico do varstva tajnosti pisem in drugih občil (
- člen Ustave RS) in pravico do varstva osebnih podatkov (
- člen Ustave RS). Na drugi strani pa je seveda treba upoštevati tudi legitimen interes delodajalca, ki ima pravico, da nadzira, ali je delovno sredstvo (v vašem primeru računalnik) res uporabljeno za namen, za katerega je bilo dano zaposlenemu v uporabo, in da preprečuje, odkriva in preganja disciplinske prekrške zaposlenih, še zlasti zlorabo delodajalčeve opreme za osebne ali druge sporne namene, oziroma na način, ki bi lahko privedel do odškodninske odgovornosti delodajalca proti tretjim osebam. Informacijski pooblaščenec ob tem poudarja, da ni pristojen za presojo vsakega posega v zasebnost, ki ga lahko predstavlja nadzor službenega računalnika s strani delodajalca, ampak le za presojo upravičenosti posegov v informacijsko zasebnost zaposlenega, ki ga predstavlja tak nadzor. Za poseg v informacijsko zasebnost bo šlo pri delodajalčevem nadzoru računalnika zaposlenega zlasti v primeru, ko: - delodajalec vpogleda v dokumente, ki se nahajajo na trdem disku službenega računalnika, če tak dokument v skladu s
- tč.
- člena ZVOP-1 lahko opredelimo kot zbirko osebnih podatkov zaposlenega, - delodajalec nadzira uporabo interneta z vpogledom v seznam obiskanih spletnih strani, ki po navadi vsebuje tudi podatke o datumu, času in trajanju obiskov, - delodajalec nadzira uporabo elektronske pošte zaposlenega z vpogledom v elektronske naslove poslanih in prejetih elektronskih sporočil ter datum in čas poslanega ali prejetega sporočila. Informacijski pooblaščenec je v zvezi z dopustnostjo nadzora trdega diska, uporabe interneta in elektronske pošte zaposlenega s strani delodajalca izdal že nekaj pravnih mnenj, v katerih lahko najdete izčrpen odgovor na vaše vprašanje (http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/): -0712-68/2006/2 -0712-400/2007/2 -0712-351/2007/2 Na podlagi povedanega in na podlagi do sedaj izdanih pravnih mnenj Informacijski pooblaščenec zaključuje, da mora biti vsak poseg v pravico posameznika do varstva osebnih podatkov, ki ga delodajalec vrši v obliki nadzora trdega diska, uporabe interneta in elektronske pošte zaposlenega s strani delodajalca: - vnaprej določen v internih aktih delodajalca ali pa predvidena v zakonu, - nujen, kar pomeni, da legitimnega interesa delodajalca po nadzoru uporabe delovnih sredstev in delovnega procesa ni mogoče doseči brez zgoraj opisanega posega v informacijsko zasebnost zaposlenega, - zaposleni mora biti seznanjen tako s tem, da službenih informacijskih sistemov in opreme ne sme uporabljati v zasebne namene, kakor tudi z možnostjo nadzora take uporabe, - sorazmeren, kar pomeni, da delodajalec s takim nadzorom ne sme nesorazmerno poseči v posameznikovo zasebnost. To pomeni, da morajo tudi s strani delodajalca predpisani ukrepi in omejitve v zvezi z uporabo delovnih sredstev delavcu med delovnim časom in na delovnem mestu puščati določeno polje informacijske zasebnosti, v katerega se s takimi ukrepi ne sme posegati. Povedano pomeni, da vaš Zavod lahko zahteva posredovanje uporabniških imen in gesel za vstop v njihove osebne računalnike od tistih zaposlenih, pri katerih namerava izvesti nadzor, če za tak nadzor obstajajo razlogi, ki jih je delodajalec predvidel v svojem notranjem aktu, v katerem je predpisal tudi postopek in način izvajanja takega nadzora. Zaposleni, nad katerimi se izvaja ta nadzor, morajo biti o omejitvah v zvezi z uporabo delovnih sredstev v zasebne namene in o nadzoru ustreznosti njihove uporabe predhodno obveščeni. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026